CVE-2026-103880
NieznaneStreszczenie
Podatność Asymmetric Resource Consumption w Apache Directory LDAP API. Przechowywanie hasła przy użyciu algorytmu bcrypt z wysoką siłą (np. 30) w serwerze LDAP, który obsługuje ten algorytm, spowoduje, że CPU serwera będzie pracować godzinami podczas sprawdzania poświadczeń. Należy wymusić ograniczony koszt, aby uniknąć DoS serwera. Problem dotyczy wersji od 2.1.0 do przed 2.1.9. Zalecane jest uaktualnienie do wersji 2.1.9.
Ocena ryzyka
Atakujący może wykorzystać wysoką siłę bcrypt do przeciążenia CPU serwera, co prowadzi do denial of service i niedostępności usługi.
Rekomendacja
Zaktualizuj Apache Directory LDAP API do wersji 2.1.9. Dodatkowo skonfiguruj ograniczenie kosztu bcrypt do rozsądnej wartości i monitoruj wykorzystanie CPU.
Inne podatności w Apache Directory LDAP API
Zobacz wszystkie- CVE-2026-103885Nieznane
Podatność Asymmetric Resource Consumption w Apache Directory LDAP API. Serwer LDAP korzystający z LDAP API (np. Apache DS) może zużywać 100% mocy jednego rdzenia CPU w nieskończoność podczas przetwarzania niektórych źle sformułowanych numerów telefonów. Problem dotyczy wersji od 2.1.0 do przed 2.1.9. Zalecane jest uaktualnienie do wersji 2.1.9.
- CVE-2026-103878Nieznane
Podatność Cleartext transmission of sensitive information w Apache Directory LDAP API. Operacja StartTLS rozpoczęta po wysłaniu żądania Search może prowadzić do otrzymania danych w postaci zwykłego tekstu przed zakończeniem uzgadniania TLS. Problem dotyczy wersji od 2.1.0 do przed 2.1.9. Zalecane jest uaktualnienie do wersji 2.1.9.
- CVE-2026-103877Nieznane
Podatność deserializacji niezaufanych danych w Apache Directory LDAP API. Złośliwy lub przejęty serwer LDAP (albo atakujący MITM przed TLS) może odpowiedzieć na zapytanie loadSchema() obiektem schematu zawierającym zserializowaną klasę Java, co potencjalnie umożliwia zdalne wykonanie kodu (RCE). Problem dotyczy wersji od 2.1.0 do 2.1.9.
- CVE-2026-103552Nieznane
Podatność przepełnienia stosu w Apache Directory LDAP API. Przed uwierzytelnieniem klient może wysłać głęboko zagnieżdżony filtr wyszukiwania, który przepełnia stos w dekoderze serwera. Problem dotyczy wersji od 1.2.0 do 1.2.9.
- CVE-2026-102731Nieznane
Podatność związana z alokacją pamięci o nadmiernym rozmiarze w Apache Directory LDAP API. Złośliwy peer (lub atakujący MITM) może wysłać małą odpowiedź zakodowaną w BER, powodując dużą alokację pamięci przed odebraniem jakichkolwiek danych, co prowadzi do OutOfMemoryError i odmowy usługi. Problem dotyczy wersji od 1.2.0 do 1.2.9.
- CVE-2015-3250Wysokie
Apache Directory LDAP API przed wersją 1.0.0-M31 umożliwia atakującym przeprowadzanie ataków czasowych za pomocą nieokreślonych wektorów.
Oryginalny opis (angielski, źródło NVD)
Asymmetric Resource Consumption vulnerability in Apache Directory LDAP API. Storing a password using the bcrypt algorithm with a high force like 30 in a LDAP server that supports this algorithm will cause the server CPU to run for hours checking the credentials. A bounded cost should be enforced to avoid a server DOS. This issue affects Apache Directory LDAP API: from 2.1.0 before 2.1.9. Users are recommended to upgrade to version 2.1.9, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS